等保2.0通用要求VS等保1.0(三級)技術部分要求詳細對比

原控制點

要求項數

新控制點

要求項數

物理安全

1?物理位置的選擇

2

物理和環境安全

1?物理位置的選擇

2

2?物理訪問控制

4

2?物理訪問控制

1

3?防盜竊和防破壞

6

3?防盜竊和防破壞

3

4?防雷擊

3

4?防雷擊

2

5?防火

3

5?防火

3

6?防水和防潮

4

6?防水和防潮

3

7?防靜電

2

7?防靜電

2

8?溫濕度控制

1

8?溫濕度控制

1

9?電力供應

4

9?電力供應

3

10?電磁防護

3

10?電磁防護

2

信息安全等級保護基本要求—物理安全（三級）

網絡安全等級保護基本要求通用要求—物理和環境安全（三級）

物理位置的選擇

a)?機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內；

物理位置的選擇

a)?機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內；

b)?機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。

b)?機房場地應避免設在建筑物的頂層或地下室，否則應加強防水和防潮措施。

物理訪問控制

a)?機房出入口應安排專人值守，控制、鑒別和記錄進入的人員；

物理訪問控制

a)?機房出入口應配置電子門禁系統，控制、鑒別和記錄進入的人員。

b)?需進入機房的來訪人員應經過申請和審批流程，并限制和監控其活動范圍；

c)?應對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域；

d)?重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。

防盜竊和防破壞

a)?應將主要設備放置在機房內；

防盜竊和防破壞

b)?應將設備或主要部件進行固定，并設置明顯的不易除去的標記；

a)?應將設備或主要部件進行固定，并設置明顯的不易除去的標記；

c)?應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中；

b)?應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中；

d)?應對介質分類標識，存儲在介質庫或檔案室中；

e)?應利用光、電等技術設置機房防盜報警系統；

c)?應設置機房防盜報警系統或設置有專人值守的視頻監控系統。

f)?應對機房設置監控報警系統。

防雷擊

a)?機房建筑應設置避雷裝置；

防雷擊

a)?應將各類機柜、設施和設備等通過接地系統安全接地；

b)?應設置防雷保安器，防止感應雷；

b)?應采取措施防止感應雷，例如設置防雷保安器或過壓保護裝置等。

c)?機房應設置交流電源地線。

防火

a)?機房應設置火災自動消防系統，能夠自動檢測火情、自動報警，并自動滅火；

防火

a)?機房應設置火災自動消防系統，能夠自動檢測火情、自動報警，并自動滅火；

b)?機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；

b)?機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；

c)?機房應采取區域隔離防火措施，將重要設備與其他設備隔離開。

c)?應對機房劃分區域進行管理，區域和區域之間設置隔離防火措施。 ?

防水和防潮

a)?水管安裝，不得穿過機房屋頂和活動地板下；

防水和防潮

b)?應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；

a)?應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；

c)?應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透；

b)?應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透；

d) ?應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。

c)?應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。

防靜電

a)?主要設備應采用必要的接地防靜電措施；

防靜電

a)?應安裝防靜電地板并采用必要的接地防靜電措施；

b)?機房應采用防靜電地板。

b)?應采取措施防止靜電的產生，例如采用靜電消除器、佩戴防靜電手環等。(新增)

溫濕度控制

機房應設置溫、濕度自動調節設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。

溫濕度控制

機房應設置溫、濕度自動調節設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。

電力供應

a)?應在機房供電線路上配置穩壓器和過電壓防護設備；

電力供應

a)?應在機房供電線路上配置穩壓器和過電壓防護設備；

b)?應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正常運行要求；

b)?應提供短期的備用電力供應，至少滿足設備在斷電情況下的正常運行要求；

c)?應設置冗余或并行的電力電纜線路為計算機系統供電；

c)?應設置冗余或并行的電力電纜線路為計算機系統供電；

d)?應建立備用供電系統。

電磁防護

a)?應采用接地方式防止外界電磁干擾和設備寄生耦合干擾；

電磁防護

b)?電源線和通信線纜應隔離鋪設，避免互相干擾；

a?電源線和通信線纜應隔離鋪設，避免互相干擾；

c) ?應對關鍵設備和磁介質實施電磁屏蔽。

b) ?應對關鍵設備實施電磁屏蔽。

原控制點

要求項數

新控制點

要求項數

網絡安全

1結構安全

7

網絡和通信安全

1?網絡架構

5

2訪問控制

8

2通信傳輸

2

3安全審計

4

3邊界防護

4

4邊界完整性檢查

2

4?訪問控制

5

5入侵防范

2

5?入侵防范

4

6?惡意代碼防范

2

6?惡意代碼防范

2

7?網絡設備防護

8

7?安全審計

5

8?集中管控

6

信息安全等級保護基本要求--網絡安全（三級）

網絡安全等級保護基本要求通用要求—網絡和通信安全（三級）

結構安全

a)?應保證主要網絡設備的業務處理能力具備冗余空間，滿足業務高峰期需要；

網絡架構

a)?應保證網絡設備的業務處理能力具備冗余空間，滿足業務高峰期需要；

b)?應保證網絡各個部分的帶寬滿足業務高峰期需要；

b)?應保證網絡各個部分的帶寬滿足業務高峰期需要；

c) ?應在業務終端與業務服務器之間進行路由控制建立安全的訪問路徑；

d)?應繪制與當前運行情況相符的網絡拓撲結構圖；

e)?應根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網或網段，并按照方便管理和控制的原則為各子網、網段分配地址段；

c)?應劃分不同的網絡區域，并按照方便管理和控制的原則為各網絡區域分配地址；

f) ?應避免將重要網段部署在網絡邊界處且直接連接外部信息系統，重要網段與其他網段之間采取可靠的技術隔離手段；

d)?應避免將重要網絡區域部署在網絡邊界處且沒有邊界防護措施；

g) ?應按照對業務服務的重要次序來指定帶寬分配優先級別，保證在網絡發生擁堵的時候優先保護重要主機。

e)應提供通信線路、關鍵網絡設備的硬件冗余，保證系統的可用性。 ?

通信傳輸

a)?應采用校驗碼技術或密碼技術保證通信過程中數據的完整性；

b)?應采用密碼技術保證通信過程中敏感信息字段或整個報文的保密性。 ?

邊界防護

a)?應保證跨越邊界的訪問和數據流通過邊界防護設備提供的受控接口進行通信；

邊界完整性檢查

a)?應能夠對非授權設備私自聯到內部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷；

b)?應能夠對非授權設備私自聯到內部網絡的行為進行限制或檢查； ?

b)?應能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。

c)?應能夠對內部用戶非授權聯到外部網絡的行為進行限制或檢查； ?

d)?應限制無線網絡的使用，確保無線網絡通過受控的邊界防護設備接入內部網絡。 ?

訪問控制

a)?應在網絡邊界部署訪問控制設備，啟用訪問控制功能；

訪問控制

a)?應在網絡邊界或區域之間根據訪問控制策略設置訪問控制規則，默認情況下除允許通信外受控接口拒絕所有通信； ?

b)?應刪除多余或無效的訪問控制規則，優化訪問控制列表，并保證訪問控制規則數量最小化；

c)?應對源地址、目的地址、源端口、目的端口和協議等進行檢查，以允許/拒絕數據包進出；

b)?應能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；

d)?應能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；

c) ?應對進出網絡的信息內容進行過濾，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制；

e)?應在關鍵網絡節點處對進出網絡的信息內容進行過濾，實現對內容的訪問控制。 ?

d)?應在會話處于非活躍一定時間或會話結束后終止網絡連接；

e)?應限制網絡最大流量數及網絡連接數；

f)?重要網段應采取技術手段防止地址欺騙；

g)?應按用戶和系統之間的允許訪問規則，決定允許或拒絕用戶對受控系統進行資源訪問，控制粒度為單個用戶；

h)?應限制具有撥號訪問權限的用戶數量。

入侵防范

a)?應在網絡邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；

入侵防范

a)?應在關鍵網絡節點處檢測、防止或限制從外部發起的網絡攻擊行為；

b)?應在關鍵網絡節點處檢測、防止或限制從內部發起的網絡攻擊行為； (新增)

c)?應采取技術措施對網絡行為進行分析，實現對網絡攻擊特別是新型網絡攻擊行為的分析； (新增)

b) ?當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時應提供報警。

b) ?當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時應提供報警。

惡意代碼防范

a) ?應在網絡邊界處對惡意代碼進行檢測和清除；

惡意代碼防范

a)?應在關鍵網絡節點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新；

b) ?應維護惡意代碼庫的升級和檢測系統的更新。

b)?應在關鍵網絡節點處對垃圾郵件進行檢測和防護，并維護垃圾郵件防護機制的升級和更新。 ?(新增)

安全審計

a)?應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；

安全審計

a)?應在網絡邊界、重要網絡節點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；?

b)?審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；

b)?審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；

c) ?應能夠根據記錄數據進行分析，并生成審計報表；

d) ?應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等。

c)?應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；

d)?應確保審計記錄的留存時間符合法律法規要求；(新增)

e)?應能對遠程訪問的用戶行為、訪問互聯網的用戶行為等單獨進行行為審計和數據分析。 ?(新增)

集中管控

a)?應劃分出特定的管理區域，對分布在網絡中的安全設備或安全組件進行管控； ??(新增)

b)?應能夠建立一條安全的信息傳輸路徑，對網絡中的安全設備或安全組件進行管理； ??(新增)

c)?應對網絡鏈路、安全設備、網絡設備和服務器等的運行狀況進行集中監測； ??(新增)

d)?應對分散在各個設備上的審計數據進行收集匯總和集中分析；(新增)

e)?應對安全策略、惡意代碼、補丁升級等安全相關事項進行集中管理； ?

f)?應能對網絡中發生的各類安全事件進行識別、報警和分析。 ?(新增)

網絡設備防護

a)?應對登錄網絡設備的用戶進行身份鑒別；

b)?應對網絡設備的管理員登錄地址進行限制；

c)?網絡設備用戶的標識應唯一；

d) ?主要網絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；

e)?身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換；

f)?應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施；

g)?當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽；

h) ?應實現設備特權用戶的權限分離。

原控制點

要求項數

新控制點

要求項數

1?身份鑒別

6

設備和計算安全

1?身份鑒別

4

2?訪問控制

7

2?訪問控制

7

3?安全審計

6

3?安全審計

5

4?剩余信息保護

2

4?入侵防范

5

5?入侵防范

3

5?惡意代碼防范

1

6?惡意代碼防范

3

6?資源控制

4

7?資源控制

5

信息安全等級保護基本要求—主機安全（三級）

網絡安全等級保護基本要求通用要求—設備和計算安全（三級）

身份鑒別

a)?應對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別；

身份鑒別

a)?應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；

b)?操作系統和數據庫系統管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；

c)?應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；

b)?應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施；

d)?當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網絡傳輸過程中被竊聽；

d)?當進行遠程管理時，應采取必要措施，防止鑒別信息在網絡傳輸過程中被竊聽；

e)?應為操作系統和數據庫系統的不同用戶分配不同的用戶名，確保用戶名具有唯一性。

f)?應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別。

d)?應采用兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用動態口令、密碼技術或生物技術來實現。 ?

訪問控制

訪問控制

a)?應對登錄的用戶分配賬戶和權限； ?

a)?應啟用訪問控制功能，依據安全策略控制用戶對資源的訪問；

e)?應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則； ?

b) ?應根據管理用戶的角色分配權限，實現管理用戶的權限分離，僅授予管理用戶所需的最小權限；

d)?應進行角色劃分，并授予管理用戶所需的最小權限，實現管理用戶的權限分離；

c)?應實現操作系統和數據庫系統特權用戶的權限分離；

d)?應嚴格限制默認帳戶的訪問權限，重命名系統默認帳戶，修改這些帳戶的默認口令；

b)?應重命名或刪除默認賬戶，修改默認賬戶的默認口令；

e)?應及時刪除多余的、過期的帳戶，避免共享帳戶的存在。

c)?應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；

f)?訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級； ?

f) ?應對重要信息資源設置敏感標記；

g)?應對敏感信息資源設置安全標記，并控制主體對有安全標記信息資源的訪問。 ?

g) ?應依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作；

安全審計

a)?審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶；

安全審計

a?應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；

b)?審計內容應包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件；

c)?審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；

b)審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；

d) ?應能夠根據記錄數據進行分析，并生成審計報表；

e)?應保護審計進程，避免受到未預期的中斷；

e)?應對審計進程進行保護，防止未經授權的中斷。

f)?應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。

c)?應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；

d)?應確保審計記錄的留存時間符合法律法規要求； （新增）

剩余信息保護

a)?應保證操作系統和數據庫系統用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內存中；

b)?應確保系統內的文件、目錄和數據庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。

入侵防范

a)?應能夠檢測到對重要服務器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警；

入侵防范

e)?應能夠檢測到對重要節點進行入侵的行為，并在發生嚴重入侵事件時提供報警。 ?

b)?應能夠對重要程序的完整性進行檢測，并在檢測到完整性受到破壞后具有恢復的措施；

c)?操作系統應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統補丁及時得到更新。

a)?應遵循最小安裝的原則，僅安裝需要的組件和應用程序。

b)?應關閉不需要的系統服務、默認共享和高危端口；

c)?應通過設定終端接入方式或網絡地址范圍對通過網絡進行管理的管理終端進行限制；

d)?應能發現可能存在的漏洞，并在經過充分測試評估后，及時修補漏洞；

惡意代碼防范

a)?應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；

惡意代碼防范

應采用免受惡意代碼攻擊的技術措施或可信驗證機制對系統程序、應用程序和重要配置文件/參數進行可信執行驗證，并在檢測到其完整性受到破壞時采取恢復措施。

b)?主機防惡意代碼產品應具有與網絡防惡意代碼產品不同的惡意代碼庫；

c)?應支持防惡意代碼的統一管理。

資源控制

a)?應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄；

資源控制

b)?應根據安全策略設置登錄終端的操作超時鎖定；

c)?應對重要服務器進行監視，包括監視服務器的CPU、硬盤、內存、網絡等資源的使用情況；

c)?應對重要節點進行監視，包括監視CPU、硬盤、內存等資源的使用情況； ?

d)?應限制單個用戶對系統資源的最大或最小使用限度；

a)?應限制單個用戶或進程對系統資源的最大使用限度； ?

e)?應能夠對系統的服務水平降低到預先規定的最小值進行檢測和報警。

e)?應能夠對重要節點的服務水平降低到預先規定的最小值進行檢測和報警。

b)?應提供重要節點設備的硬件冗余，保證系統的可用性；

原控制點

要求項數

新控制點

要求項數

應用安全

1?身份鑒別

5

應用和數據安全

1?身份鑒別

5

2?訪問控制

6

2?訪問控制

7

3?安全審計

4

3?安全審計

5

4?剩余信息保護

2

4?軟件容錯

3

5?通信完整性

1

5?資源控制

2

6?通信保密性

2

6?數據完整性

2

7?抗抵賴

2

7?數據保密性

2

8?軟件容錯

2

8?數據備份和恢復

3

9?資源控制

7

9?剩余信息保護

2

數據安全及備份恢復

9?數據完整性

2

10?個人信息保護

2

10?數據保密性

2

11?備份和恢復

4

信息安全等級保護基本要求—主機安全（三級）

網絡安全等級保護基本要求通用要求—設備和計算安全（三級）

身份鑒別

a)?應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；

身份鑒別

a)?應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，鑒別信息具有復雜度要求并定期更換；

b) ?應對同一用戶采用兩種或兩種以上組合的鑒別技術實現用戶身份鑒別；

e)?應采用兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用動態口令、密碼技術或生物技術來實現。 ?

c)?應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統中不存在重復用戶身份標識，身份鑒別信息不易被冒用；

d)?應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；

b)?應提供并啟用登錄失敗處理功能，多次登錄失敗后應采取必要的保護措施；

e)?應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據安全策略配置相關參數。

e)?應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據安全策略配置相關參數。

c)?應強制用戶首次登錄時修改初始口令； （新增）

d)?用戶身份鑒別信息丟失或失效時，應采用技術措施確保鑒別信息重置過程的安全； （新增）

訪問控制

a)?應提供訪問控制功能，依據安全策略控制用戶對文件、數據庫表等客體的訪問；

訪問控制

a)?應提供訪問控制功能，對登錄的用戶分配賬戶和權限；

b)?應重命名或刪除默認賬戶，修改默認賬戶的默認口令；

c)?應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；

b)?訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作；

c)?應由授權主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權限；

e)?應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；

d)?應授予不同帳戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。

d)?應授予不同帳戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。

f)?訪問控制的粒度應達到主體為用戶級，客體為文件、數據庫表級、記錄或字段級； ?

e)?應具有對重要信息資源設置敏感標記的功能；

g)?應對敏感信息資源設置安全標記，并控制主體對有安全標記信息資源的訪問。 ?

f)?應依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作；

安全審計

a)?應提供覆蓋到每個用戶的安全審計功能，對應用系統重要安全事件進行審計；

安全審計

a)?應提供安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；

b)?應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；

e)?應對審計進程進行保護，防止未經授權的中斷。

d)?應確保審計記錄的留存時間符合法律法規要求；（新增）

c)?應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；

c)?審計記錄的內容至少應包括事件的日期、時間、發起者信息、類型、描述和結果等；

b)?審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；

d)?應提供對審計記錄數據進行統計、查詢、分析及生成審計報表的功能。

軟件容錯

a)?應提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；

軟件容錯

a)?應提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內容符合系統設定要求；

b)?應提供自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。

b)?在故障發生時，應能夠繼續提供一部分功能，確保能夠實施必要的措施；

c)?在故障發生時，應自動保存易失性數據和所有狀態，保證系統能夠進行恢復。（新增） ?

資源控制

a)?當應用系統的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；

資源控制

a)?當通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；

b)?應能夠對系統的最大并發會話連接數進行限制；

b)?應能夠對系統的最大并發會話連接數進行限制；

c)?應能夠對單個帳戶的多重并發會話進行限制；

c)?應能夠對單個賬戶的多重并發會話進行限制。

d)?應能夠對一個時間段內可能的并發會話連接數進行限制；

e)?應能夠對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；

f)?應能夠對系統服務水平降低到預先規定的最小值進行檢測和報警；

g)?應提供服務優先級設定功能，并在安裝后根據安全策略設定訪問帳戶或請求進程的優先級，根據優先級分配系統資源。

剩余信息保護

a)?應保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內存中；

剩余信息保護

a)?應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除；

b)?應保證系統內的文件、目錄和數據庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。

b)?應保證存有敏感數據的存儲空間被釋放或重新分配前得到完全清除。

通信完整性

應采用密碼技術保證通信過程中數據的完整性。

通信保密性

a)?在通信雙方建立連接之前，應用系統應利用密碼技術進行會話初始化驗證；

b)?應對通信過程中的整個報文或會話過程進行加密。

抗抵賴

a)?應具有在請求的情況下為數據原發者或接收者提供數據原發證據的功能；

b)?應具有在請求的情況下為數據原發者或接收者提供數據接收證據的功能。

數據完整性

a)?應能夠檢測到系統管理數據、鑒別信息和重要業務數據在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施；

數據完整性

a)?應采用校驗碼技術或密碼技術保證重要數據在傳輸過程中的完整性，包括但不限于鑒別數據、重要業務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等； ?

b)?應能夠檢測到系統管理數據、鑒別信息和重要業務數據在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。

b)?應采用校驗碼技術或密碼技術保證重要數據在存儲過程中的完整性，包括但不限于鑒別數據、重要業務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等。

數據保密性

a)?應采用加密或其他有效措施實現系統管理數據、鑒別信息和重要業務數據傳輸保密性；

數據保密性

a)?應采用密碼技術保證重要數據在傳輸過程中的保密性，包括但不限于鑒別數據、重要業務數據和重要個人信息等； ?

b)?應采用加密或其他保護措施實現系統管理數據、鑒別信息和重要業務數據存儲保密性。

b)?應采用密碼技術保證重要數據在存儲過程中的保密性，包括但不限于鑒別數據、重要業務數據和重要個人信息等。 ?

備份和恢復

a)?應提供本地數據備份與恢復功能，完全數據備份至少每天一次，備份介質場外存放；

數據備份和恢復

a)?應提供重要數據的本地數據備份與恢復功能；

b)?應提供異地數據備份功能，利用通信網絡將關鍵數據定時批量傳送至備用場地；

b)應提供異地實時備份功能，利用通信網絡將重要數據實時備份至備份場地； ?

c)?應采用冗余技術設計網絡拓撲結構，避免關鍵節點存在單點故障；

c)?應提供重要數據處理系統的熱冗余，保證系統的高可用性。

d)?應提供主要網絡設備、通信線路和數據處理系統的硬件冗余，保證系統的高可用性。

個人信息保護

a)?應僅采集和保存業務必需的用戶個人信息； （新增）

b)?應禁止未授權訪問和非法使用用戶個人信息。（新增）